Wat is 'n KI-oudit?
'n KI-oudit is 'n sistematiese, onafhanklike en gedokumenteerde oorsig van hoe 'n organisasie KI-stelsels bestuur, ontwikkel, ontplooi en gebruik. In die konteks van ISO 42001, dit is die meganisme waardeur jy verifieer dat jou KI-bestuurstelsel (AIMS) voldoen aan die standaard, aan jou eie gedokumenteerde vereistes, en dat dit effektief geïmplementeer en in stand gehou word.
KI-oudits verskil op drie belangrike maniere van tradisionele inligtingsekuriteitsoudits. Eerstens dek hulle KI-spesifieke artefakte wat nie in 'n ISO 27001-program bestaan nie, soos KI-stelsel-impakassesserings, modelkaarte, opleidingsdata-herkomsrekords en lewensiklusvalideringsverslae. Tweedens beoordeel hulle etiese en maatskaplike oorwegings, insluitend billikheid, deursigtigheid en aanspreeklikheid, nie net vertroulikheid, integriteit en beskikbaarheid nie. Derdens volg hulle die lewensiklus van individuele KI-stelsels van doelwitstelling tot buite-bedryfstelling, eerder as om statiese beheermaatreëls in isolasie te oudit.
'n KI-oudit kan intern (eersteparty), verskaffergerig (tweedeparty), of sertifisering of toesig (derdeparty, uitgevoer deur 'n geakkrediteerde liggaam) wees. Hierdie bladsy fokus op die interne oudit, want dit is waar die meeste spanne daagliks werk en waar 'n gestruktureerde kontrolelys die meeste waarde toevoeg. Vir breër konteks oor die ouditsiklus, sien ons gids tot die ISO 42001-oudit proses.
Waarom 'n KI-ouditkontrolelys gebruik?
Die ouditering van 'n KI-bestuurstelsel sonder 'n kontrolelys is hoe bevindinge misgekyk word, bewyse vergeet word en bestuursoorsigte in argumente oor omvang verander. 'n Praktiese kontrolelys gee jou vier dinge:
- Konsekwente omvang. Elke oudit dek dieselfde areas in dieselfde volgorde, dus is jaar-tot-jaar vergelyking betekenisvol en toesigouditeure sien 'n volwasse program.
- Verdedigbare bewyse. Vir elke beheerarea weet jy vooraf watter bewyse om aan te vra, wat beteken dat geouditeerdes kan voorberei en jy tyd spandeer om te assesseer eerder as om na te jaag.
- Reproduceerbare toetsprosedures. 'n Deurloop, 'n bewysinspeksie en 'n steekproeftoets lewer resultate wat 'n ander ouditeur kan reproduseer. Dit is wat 'n eksterne ouditeur verwag om te sien.
- Duidelike slaag- of druipkriteria. Sonder kriteria word bevindinge menings. 'n Kontrolelys verander elke item in 'n ja-of-nee-vraag wat deur bewyse gestaaf word.
Die kontrolelys in hierdie gids is gefokus op die interne ouditvereistes in Klousule 9.2 en lei deur die nege Bylae A kontroles areas (A.2 tot A.10). Dit is ontwerp om gedruk, deurgewerk en aan die ouditverslag geheg te word as bewys dat die oudit beplan en uitgevoer is volgens 'n gedefinieerde omvang.
Hoe definieer ISO 42001 interne ouditvereistes?
Klausule 9.2 van ISO 42001 vereis dat organisasies interne oudits met beplande tussenposes moet uitvoer om inligting te verskaf oor of die AIMS voldoen aan beide die organisasie se eie vereistes en die vereistes van die standaard, en of dit effektief geïmplementeer en in stand gehou word. Daardie bewoording maak saak. Ouditeure kontroleer nie net dat beleide bestaan nie. Hulle kontroleer dat die bestuurstelsel in die praktyk werk.
Die klousule vereis ook dat u:
- Beplan, vestig, implementeer en onderhou 'n ouditprogram, insluitend frekwensie, metodes, verantwoordelikhede, beplanningsvereistes en verslagdoening.
- Definieer ouditkriteria en omvang vir elke oudit
- Kies ouditeure en voer oudits uit om objektiwiteit en onpartydigheid te verseker
- Rapporteer resultate van oudits aan relevante bestuur
- Bewaar gedokumenteerde inligting as bewys van die ouditprogram en die resultate daarvan
Die normatiewe implementeringsriglyne in Aanhangsel B-riglyne vul dit verder in. Wanneer jy Klousule 9.2 met die Aanhangsel A se beheerareas kombineer, kry jy die struktuur van die kontrolelys hieronder.
Alles wat jy nodig het vir ISO 42001
Gestruktureerde inhoud, gekarteerde risiko's en ingeboude werkvloeie om jou te help om KI verantwoordelik en met selfvertroue te bestuur.
KI-ouditkontrolelys: Die 9 areas om te dek
Aanhangsel A van ISO 42001 is in nege beheerareas georganiseer. Die tabel hieronder som die kontrolelysitems, tipiese bewyse en toetsprosedures vir elk op. Gebruik dit as die ruggraat van u interne oudit. Vir elke ry is die slaagkriterium dat die bewyse beskikbaar, huidig, goedgekeur en in ooreenstemming met die beoogde beheer is.
| Aanhangsel A-gebied | Kontrolelysitems | Tipiese bewyse | Toetsprosedure |
|---|---|---|---|
| A.2 Beleide met betrekking tot KI | KI-beleid bestaan en is goedgekeur; in lyn met organisatoriese beleide; hersien met vasgestelde tussenposes; gekommunikeer aan personeel; dek doelwitte vir verantwoordelike KI | Goedgekeurde KI-beleid, hersieningslogboek, kommunikasierekords, erkennings- of attestasieregister | Deurloop met poliseienaar, inspekteer goedkeuring en hersien geskiedenis, voorbeelde van attestasies van 'n deursnit van rolle |
| A.3 Interne organisasie | KI-rolle en -verantwoordelikhede gedokumenteer en toegeken; rapporteringslyne vir KI-kwessies gedefinieer; bestuursforum vergader en word genotuleer | Organisasiekaart, RACI vir KI-besluite, verwysingsraamwerk vir KI-bestuursforum, vergaderingnotules, rapportering van kommerlogboek | Onderhoud met die hoof van KI-bestuur, voorbeelde van vergaderingnotules oor die afgelope 12 maande, en spoor 'n aangemelde saak van begin tot einde op. |
| A.4 Hulpbronne vir KI-stelsels | Hulpbronne vir KI-stelsels word geïdentifiseer en gedokumenteer (data, gereedskap, rekenaars, menslike kundigheid); toereikendheid word hersien; dokumentasie word op datum gehou | Hulpbronregister, bevoegdheidsrekords, gereedskap- en berekeningsinventaris, hulpbrontoereikendheidsoorsiguitsette | Monster van een KI-stelsel, spoor die hulpbrondokumentasie na, verifieer die bestaan van bevoegdheidsrekords vir sleutelrolle, bevestig hersieningsbewyse |
| A.5 Evaluering van die impak van KI-stelsels | Impakassesseringsproses gedefinieer; toegepas op elke KI-stelsel binne omvang; dek individue, groepe en die samelewing; gedokumenteer en hersien | KI-stelsel-impakbepalingsregister, voltooide assesserings, hersienings- en goedkeuringsrekords, bewyse van aksie oor wesenlike impakte | Steekproef van twee KI-stelsels, inspekteer hul voltooide impakstudies, bevestig dat die omvang die maatskaplike impak dek, spoor enige aksies tot sluiting na |
| A.6 KI-stelsel lewensiklus | Doelwitte, ontwerp, ontwikkeling, verifikasie, validering, ontplooiing, bedryf, monitering en terugtrekkingsbeheermaatreëls in plek; bewyse wat in elke stadium vasgelê is | Lewensiklusdokumentasie, ontwerprekords, toetsplanne, valideringsverslae, ontplooiingsgoedkeurings, moniteringslogboeke, aftreerekords | Kies een KI-stelsel en loop deur die volle lewensiklus, en inspekteer bewyse in elke stadium; bevestig dat validering onafhanklik van ontwikkeling was. |
| A.7 Data vir KI-stelsels | Data-insameling, kwaliteit, voorbereiding en herkomskontroles gedefinieer en toegepas; databronne gedokumenteer; kwaliteit gemeet; herkoms behou | Databroninventaris, kwaliteitskriteria, datavoorbereidingsrekords, herkomsdokumentasie, wettige basisrekords waar relevant | 'n Voorbeeld van 'n opleidingsdatastel vir een binne-omvang-stelsel, inspekteer herkoms, verifieer dat kwaliteitskontroles uitgevoer en gedokumenteer is |
| A.8 Inligting vir belangstellendes | Stelseldokumentasie aan gebruikers verskaf; eksterne rapporteringsmeganismes gedefinieer; voorvalkommunikasieplanne in plek | Gebruikergerigte dokumentasie, vrystellingsnotas, eksterne verslagdoeningsrekords, voorvalkommunikasietemplates en logboeke | Inspekteer gebruikersdokumentasie vir een ontplooide stelsel, neem monsters van enige voorvalkommunikasie, verifieer dat eksterne rapporteringsverpligtinge nagekom word. |
| A.9 Gebruik van KI-stelsels | Prosesse vir verantwoordelike gebruik gedefinieer; beoogde gebruik gedokumenteer; doelwitte vir gebruik hersien; gebruik buite omvang voorkom of opgespoor | Gebruiksgevalregister, beoogde gebruiksverklarings, aanvaarbare gebruiksbeleid, moniteringsrekords, hersieningsuitsette | Voorbeeld van twee gebruiksgevalle, vergelyk werklike gebruik met beoogde gebruik, inspekteer monitering en hersien bewyse |
| A.10 Verhoudings met derde partye en kliënte | Verskaffers van KI-stelsels en -komponente beoordeel; verantwoordelikhede tussen partye toegeken; kliëntverpligtinge gedokumenteer | Verskafferregister met KI-spesifieke omsigtigheidsondersoek, kontrakte, toewysingsmatriks vir verantwoordelikhede, dokumentasie van kliëntegerigte verpligtinge | Neem 'n steekproef van twee KI-verskaffers, inspekteer rekords en kontrakte vir behoorlike sorgvuldigheid, verifieer dat verantwoordelikhede duidelik skriftelik toegeken is |
A.2 Beleide verwant aan KI
Begin bo-aan die huis. Bevestig dat 'n KI-beleid bestaan, op die regte vlak goedgekeur is, op 'n gedefinieerde siklus hersien word, en deur personeel in relevante rolle gekommunikeer en erken word. Die beleid moet rigting bepaal vir verantwoordelike KI en moet in ooreenstemming wees met ander organisatoriese beleide, veral inligtingsekuriteit en databeskerming. Bevindinge hier hou dikwels verband met oorsigte wat agterstallig is, erkenningsrekords wat onvolledig is, of die beleid wat stil is oor 'n sleutelarea soos derdeparty-KI gereedskap.
A.3 Interne Organisasie
Oudit die beheerstruktuur. Wie besit KI-besluite? Waar word KI-kwessies aangemeld en hoe word dit getriageer? Is daar 'n beheerforum met 'n duidelike verwysingsraamwerk en 'n kworum? Voorbeeldvergaderingnotules vir substansie, nie net bywoning nie. 'n Algemene bevinding is 'n goed bevolkte RACI wat nie in werklike besluitneming weerspieël word nie, wat maklik is om op te spoor deur 'n werklike besluit van begin tot einde na te spoor.
A.4 Hulpbronne vir KI-stelsels
Bevestig dat die hulpbronne wat nodig is om KI-stelsels te ontwikkel, te bedryf en te beheer, geïdentifiseer, gedokumenteer en voldoende is. Hulpbronne sluit in data, gereedskap, rekenaarinfrastruktuur en menslike kundigheid. Die bevoegdheidselement is dikwels die swakste. Soek na rolspesifieke bevoegdheidskriteria en bewyse dat mense in daardie rolle daaraan voldoen, eerder as generiese opleidingsrekords.
A.5 Evaluering van die impak van KI-stelsels
Impakassesserings van KI-stelsels is een van die bepalende kenmerke van ISO 42001 en 'n gereelde bron van bevindinge. Die assessering moet die impak op individue, groepe en die samelewing dek, en moet voltooi word voor implementering en hersien word na verandering. Sien ons dieper gids oor KI impakbeoordelings vir praktiese voorbeelde. Neem 'n voorbeeld van twee KI-stelsels binne die bestek en volg die volledige impakstudie tot goedkeuring en die afhandeling van die aksie.
A.6 KI-stelsel lewensiklus
Dit is die grootste beheerarea en beloon 'n lewensiklus-deurloop. Kies een produksie-KI-stelsel en volg dit van doelwitstelling tot ontwerp, ontwikkeling, verifikasie, validering, ontplooiing, bedryf, monitering en uittrede. Die kritieke toets is of validering onafhanklik van ontwikkeling was en of monitering enige afwykings, voorvalle of gebruik buite die bestek opgespoor het. KI-stelsel lewensiklus Die gids stel die volledige kontrolelys uiteen.
A.7 Data vir KI-stelsels
Data is waar KI-stelsels slaag of misluk. Oudit verkryging, kwaliteit, voorbereiding en herkomskontroles. Neem 'n steekproef van 'n opleidingsdatastel en verifieer dat die bronne, lisensies, kwaliteitskontroles en wettige basis (waar persoonlike data betrokke is) gedokumenteer is. Verwag probleme rondom herkoms vir ouer stelsels en rondom datakwaliteitsmeting wat informeel eerder as aangeteken is.
A.8 Inligting vir Belangstellendes
Bevestig dat gebruikers, kliënte, reguleerders en ander belanghebbende partye die inligting ontvang wat hulle benodig. Dit sluit in stelseldokumentasie by ontplooiing, voorvalkommunikasie en enige eksterne verslagdoeningsverpligtinge. Neem 'n voorbeeld van 'n onlangse voorval of wesenlike verandering en inspekteer die kommunikasie wat gevolg het.
A.9 Gebruik van KI-stelsels
Die beoogde gebruik van elke KI-stelsel moet gedokumenteer word, en die werklike gebruik moet daarteenoor gemonitor word. Organisasies wat slegs KI ontwikkel, en organisasies wat slegs derdeparty-KI ontplooi, benodig albei hierdie beheerarea. Neem 'n voorbeeld van twee gebruiksgevalle, vergelyk die werklike met die beoogde gebruik, en inspekteer die monitering wat afwykings opspoor.
A.10 Verhoudings met derde partye en kliënte
Oudit hoe KI-verskaffers beoordeel word, hoe verantwoordelikhede tussen jou en hulle toegeken word, en hoe kliëntverpligtinge gedokumenteer word. Vir fondamentmodelverskaffers en KI API-verskaffers spesifiek, verifieer dat die nodige sorgvuldigheid die model se herkoms, evalueringsdata en voorvalkennisgewingsverbintenisse vasgelê het. Bevindinge hier hou dikwels verband met kontrakte wat die KI-program voorafgaan en nie opgedateer is om toegekende verantwoordelikhede te weerspieël nie.
Watter bewyse moet jy tydens 'n KI-oudit insamel?
Bewyse is wat 'n opinie in 'n bevinding omskep. Vir elke item op die kontrolelys, versamel ten minste een van die volgende en heg dit aan die ouditwerkstukke:
- Dokumentêre bewyse. Beleide, prosedures, registers, assesseringsrekords, vergaderingnotules, goedkeuringsrekords en opleidingsrekords.
- Stelselgegenereerde bewyse. Toegang tot logs, moniteringsuitsette, modelprestasie-dashboards, dryfopsporingswaarskuwings en voorvalkaartjies.
- Onderhoudnotas. Deurloopsessies met beheereienaars, lede van die bestuursforum, datawetenskaplikes en produkbestuurders, met die datum, deelnemers en sleutelpunte aangeteken.
- Waarnemingsbewyse. Skermskote, skermopnames of geannoteerde uittreksels wat die beheer in werking wys, soos 'n goedkeuringswerkvloei wat 'n nie-goedgekeurde verandering verwerp.
- Voorbeeld toetsresultate. Waar jy 'n steekproef getoets het (byvoorbeeld tien KI-stelsel-impakassesserings uit vyftien), teken die steekproefgrootte, seleksiemetode en slaag- of druipuitkoms per item aan.
Koppel elke bewysstuk terug na die beheer wat dit ondersteun en na die ouditbevinding (of gebrek aan bevinding) wat dit dryf. Hierdie naspeurbaarheid is presies wat 'n eksterne ouditeur in u rekords wil sien en is een van die mees algemene dinge wat verkeerd gaan met papiergebaseerde oudits. Vir die volledige prentjie van wat die standaard skriftelik vereis, sien ons gids tot dokumentasie vereis onder ISO 42001.
Begin jou gratis toets
Wil jy verken?
Sluit vandag aan vir jou gratis proeftydperk en kry al die voldoeningskenmerke wat ISMS.online kan bied, in die hand
Hoe dokumenteer jy bevindinge en korrektiewe aksies?
'n Bevinding is 'n gedokumenteerde feitestelling, ondersteun deur bewyse, geëvalueer teen 'n kriterium. Goeie bevindinge het vier dele: voorwaarde (wat waargeneem is), kriterium (wat vereis is, byvoorbeeld die klousule of beheer), oorsaak (hoekom dit gebeur het) en gevolg (wat dit vir die AIMS beteken). Bevindinge word dan geklassifiseer, tipies as:
- Groot nie-ooreenstemming. 'n Volledige uiteensetting van 'n vereiste beheermaatreël, of veelvuldige verwante klein nie-ooreenstemmings wat op 'n sistemiese probleem dui. Hierdie sal sertifisering blokkeer indien dit deur 'n eksterne ouditeur gevind word.
- Geringe nie-ooreenstemming. 'n Enkele fout in 'n andersins werkende beheermaatreël. Moet aangespreek word, maar blokkeer selde sertifisering op sy eie.
- Waarneming of geleentheid vir verbetering. Nie 'n oortreding van vereistes nie, maar iets wat die moeite werd is om aan te spreek voordat dit 'n bevinding word.
Elke nie-ooreenstemming moet 'n korrektiewe aksie veroorsaak wat volg op Klousule 10. Dit beteken die regstelling van die nie-ooreenstemming, die bepaling van die oorsaak, die bepaling of soortgelyke probleme elders bestaan, die implementering van die aksie, die verifikasie van doeltreffendheid en die behoud van gedokumenteerde inligting. Korrektiewe aksierekords moet terugskakel na die ouditbevinding en deurstuur na enige opdaterings aan risiko's, beheermaatreëls, beleide of die Verklaring van toepaslikheid.
’n Nuttige bevindingsjabloon het kolomme vir: bevindings-ID, ouditverwysing, Aanhangsel A-beheer of -klousule, voorwaarde, kriterium, oorsaak, gevolg, klassifikasie, eienaar, vervaldatum, korrektiewe aksie, verifikasie van doeltreffendheid en sluitingsdatum. Plaas dit in jou werkspapiere of, beter, in ’n platform wat die dophou vir jou doen.
Hoe ISMS.online KI-oudits vereenvoudig
ISMS.aanlyn gee jou die ouditkontrolelys, bewysbiblioteek, bevindingopsporing en korrektiewe aksie-werkvloei op een plek, vooraf gekarteer volgens ISO 42001.
- Voorafgeboude ouditprogram. Interne ouditplanne in lyn met Klousule 9.2 met ouditskedules, omvangsdefinisie en ouditeurtoewysing ingebou.
- Kontrolelysjablone per Aanhangsel A-area. Elke item op die kontrolelys is reeds aan die betrokke kontrole gekoppel, so ouditeure spandeer tyd aan assessering eerder as om sjablone te skryf.
- Gekoppelde bewyse op beheervlak. Bewyse wat teen Aanhangsel A-kontroles vasgelê is, is direk sigbaar vanaf die ouditkontrolelys, wat die aasdierjag uitskakel.
- Bevindinge en korrektiewe aksies in een werkvloei. Nie-ooreenstemmings wat tydens die oudit geopper word, skep outomaties korrektiewe aksies met eienaars, sperdatums, verifikasiestappe en afsluitingsopsporing volgens Klousule 10.
- Bestuursbeoordelingsinsette word outomaties gegenereer. Ouditresultate, nie-ooreenstemmings en aksies vloei direk in die bestuursoorsigpakket van klousule 9.3 in.
- Hergebruik van verskeie standaarde. Bewyse wat vir ISO 27001 interne oudits ingesamel is, kan herbruik word teen die relevante ISO 42001-kontroles, want dit alles is op dieselfde platform.
Die gevolg is dat 'n oudit wat twee weke se sigbladgeknoei en e-pos-jaag sou geneem het, as 'n bestuurde werkvloei binne 'n enkele instrument loop, met die bewysspoor gereed vir jou eksterne ouditeur.
Waarom ISMS.online vir KI-ouditbestuur kies?
ISMS.aanlyn is van nuuts af gebou vir ISO 42001, insluitend die volledige interne ouditsiklus. Hier is wat jy kry wanneer jy KI-oudits op die platform uitvoer:
- 'n Gebruiksklare KI-ouditkontrolelys. Vooraf gekarteer op Klousule 9.2 en elke Aanhangsel A-beheerarea, sodat u eerste oudit nie met 'n leë sjabloon begin nie.
- Geïntegreerde bewysbiblioteek. Beleide, risiko's, impakstudies en beheerbewyse is gekoppel aan die beheermaatreëls wat hulle ondersteun, sodat ouditeure 'n item oopmaak en die bewys sien.
- Bevindinge en aksies op een plek. Nie-ooreenstemmings wat tydens die oudit geopper word, skep korrektiewe aksies met eienaars, sperdatums en verifikasie van doeltreffendheidskontroles, in lyn met Klousule 10.
- Bestuursoorsig gereed. Oudituitsette, nie-ooreenstemmings en korrektiewe aksies word direk in die bestuursoorsigpakket van Klousule 9.3 ingevoer, wat die einde-van-die-jaar data-insamelingsoefening uitskakel.
- Gedeel met ISO 27001. 'n Enkele ouditprogram wat ISO 42001 en ISO 27001 dek, met behulp van een stel bewyse, een risikoregister en een Verklaring van Toepaslikheid-bouer.
- Metode van versekerde resultate. Bewese implementerings- en ouditbenadering wat honderde organisasies gehelp het om die eerste keer sertifisering te behaal, met regstreekse menslike ondersteuning deurgaans.
Of jy nou jou eerste interne oudit uitvoer, voorberei vir 'n Fase 2-sertifiseringsoudit, of jaarlikse toesig bestuur, ISMS.aanlyn hou die program gestruktureerd en die bewyse verdedigbaar. Vir 'n breër gereedheidstoets, voer 'n gapingsanalise eerste, of werk deur ons volle ISO 42001-nakomingskontrolelys.
Gereed om die platform in aksie te sien? Bespreek 'n demo om te sien hoe ISMS.aanlyn kan jou KI-ouditprogram aandryf.
Vrae & Antwoorde
Wat is 'n KI-ouditkontrolelys?
'n KI-ouditkontrolelys is 'n gestruktureerde lys van items waardeur 'n interne ouditeur werk om te bepaal of 'n organisasie se KI-bestuurstelsel aan ISO 42001 voldoen en effektief geïmplementeer word. 'n Goeie kontrolelys dek klousule 9.2-ouditvereistes en al nege Aanhangsel A-beheerareas (A.2 tot A.10), met bewysverwagtinge en toetsprosedures wat vir elke item gedefinieer is sodat bevindinge konsekwent en verdedigbaar is.
Hoe gereeld moet ek 'n interne KI-oudit uitvoer?
ISO 42001 Klousule 9.2 vereis interne oudits met beplande tussenposes, sonder om 'n spesifieke frekwensie voor te skryf. In die praktyk voer die meeste organisasies jaarliks 'n volledige AIMS-oudit uit, met bykomende gefokusde oudits op hoërrisiko-KI-stelsels of beheerareas ten minste elke ses maande. Ouditfrekwensie moet risikogebaseerd wees, dus regverdig 'n generatiewe KI-stelsel met 'n hoë impak in produksie meer gereelde hersiening as 'n interne produktiwiteitsinstrument.
Wie kan 'n ISO 42001 interne oudit uitvoer?
Interne ouditeure moet objektief en onpartydig wees, wat beteken dat hulle nie werk kan oudit waarvoor hulle verantwoordelik is nie. Baie organisasies gebruik 'n kombinasie van opgeleide interne personeel van buite die KI-funksie, 'n sentrale versekeringspan, of 'n onafhanklike derde party wat namens hulle as 'n eersteparty-ouditeur optree. Wat belangrik is, is dat die ouditeur bevoeg is om KI-spesifieke beheermaatreëls te assesseer en vry is van belangebotsings met betrekking tot die areas wat geouditeer word.
Wat is die verskil tussen 'n KI-oudit en 'n KI-impakstudie?
'n Impakassessering van 'n KI-stelsel (Aanhangsel A.5) evalueer die potensiële impakte van 'n KI-stelsel op individue, groepe en die samelewing voor ontplooiing en op verandering. 'n KI-oudit (Klausule 9.2) evalueer of die bestuurstelsel wat KI beheer, insluitend die impakassesseringsproses self, aan vereistes voldoen en in die praktyk werk. 'n Oudit sal tipies impakassesserings as bewys gebruik, maar dit dek ook beleide, lewensiklusbeheer, databestuur, verskaffers en elke ander area van die AIMS.
Moet die interne oudit elke keer elke KI-stelsel dek?
Nee. Die ouditprogram moet verseker dat elke deel van die AIMS en elke KI-stelsel binne die omvang oor 'n gedefinieerde siklus (gewoonlik een tot drie jaar) geoudit word, maar individuele oudits kan tot 'n subgroep beperk word. Vir die meeste organisasies neem die jaarlikse oudit KI-stelsels op grond van risiko en materialiteit, dus word die stelsels met die hoogste impak die meeste geoudit en dié met 'n laer risiko word op rotasie gedek. Die ouditprogram self is die gedokumenteerde bewys van daardie plan.
Hoe skakel KI-ouditbevindinge met korrektiewe aksies?
Elke nie-ooreenstemming wat tydens 'n oudit geopper word, moet 'n regstellende aksie volgens Klousule 10 veroorsaak. Dit beteken om die probleem reg te stel, die oorsaak te bepaal, te oorweeg of dieselfde probleem elders bestaan, die aksie te implementeer, die doeltreffendheid te verifieer en gedokumenteerde inligting te behou. ISMS.aanlyn, bevindinge wat tydens die oudit geopper word, skep outomaties korrektiewe aksies met eienaars en sperdatums, en die verifikasie van doeltreffendheid word tot by die afsluiting gevolg sodat niks afdwaal nie.
Kan dieselfde oudit ISO 42001 en ISO 27001 dek?
Ja. Beide standaarde volg die hoëvlakstruktuur van Aanhangsel SL en deel klousules rondom leierskap, beplanning, ondersteuning, werking, evaluering en verbetering. Aanhangsel D van ISO 42001 bied eksplisiete koppeling aan ISO 27001. 'n Gekombineerde ouditprogram is meer doeltreffend, vermy gedupliseerde bewysinsameling en word ondersteun deur multistandaardplatforms soos ISMS.aanlyn wat 'n enkele risikoregister, bewysbiblioteek en ouditwerkvloei oor beide standaarde gebruik.
